SMJobBless更新后无法访问钥匙串项目

Question

我们在使用SMJobBless更新帮助工具时遇到了问题,这个工具一直困扰着我们好几天.

我们正在开发一个应用程序,在某些时候我们需要执行管理任务(加载/卸载kext).我们还使用钥匙串存储我们的应用程序的帐户信息.

对于管理任务,我们使用一个使用SMJobBless安装的辅助工具,我们使用DO over Mach端口(使用NSConnection)与之交流.

在帮助工具中:

// use our bundle id as our service name
NSString* name = [[NSBundle mainBundle] bundleIdentifier];

launch_data_t checkinRequest = launch_data_new_string(LAUNCH_KEY_CHECKIN);
launch_data_t checkinResponse = launch_msg(checkinRequest);
launch_data_t machServicesDict = launch_data_dict_lookup(checkinResponse, LAUNCH_JOBKEY_MACHSERVICES);
launch_data_t machPort = launch_data_dict_lookup(machServicesDict, [name UTF8String]);

mach_port_t mp = launch_data_get_machport(machPort);

launch_data_free(checkinResponse);
launch_data_free(checkinRequest);

NSMachPort *receivePort = [[NSMachPort alloc] initWithMachPort:mp];
NSConnection *server = [NSConnection connectionWithReceivePort:receivePort sendPort:nil];        

在应用程序中:

NSConnection *conn = [NSConnection connectionWithRegisteredName:HELPER_BUNDLE_IDENTIFIER host:nil];

id proxyServerObject = [conn rootProxy];

if(conn && proxyServerObject) {
    return [proxyServerObject someMethod];
}
return NO;

我们使用Thawte的代码签名证书签署了应用程序和帮助工具.到目前为止,一切都像一个魅力.帮助工具已安装,我们可以使用DO与它通信; 我们的kext已成功加载和卸载.

当我们尝试更新我们的帮助工具时,问题就出现了.我们使用已安装工具的信息字典和应用程序包中的捆绑工具来检查是否需要更新工具并再次调用SMJobBless来执行更新.

在SMJobBless调用之后,控制台中将显示以下行:

6/19/12 10:31:24.000 AM kernel: CODE SIGNING: cs_invalid_page(0x104e17000): p=74362[OURAPP] clearing CS_VALID
6/19/12 10:31:24.000 AM kernel: CODE SIGNING: cs_invalid_page(0x10d0de000): p=74364[OURAPPHELPER] clearing CS_VALID

此后,应用程序无法从我们的钥匙串项读取应用程序密码,该函数SecKeychainItemCopyContent返回errSecAuthFailed (-25293).但是,如果我们使用手动验证已安装的帮助工具或应用程序包的代码签名,则不会报告错误codesign -vvvv PATH_TO_TOOL_OR_BUNDLE.该工具和应用程序在Xcode环境之外签名,签名过程后内容不会更改.

我们发现了另一篇描述类似情况的帖子,但这个问题仍然没有答案.相关问题可能是SMJobBless返回错误4098.

我们正在测试OSX 10.7.4.

任何人都面临类似的问题,或者有什么明显我们做错了吗？

Answer 1

SMJobBless这是由于与如何替换磁盘上的帮助工具相关的错误造成的。特别是，它会就地修改二进制文件，而不是采用写入临时文件然后在目标之上重命名的常见方法。这样做的效果是，如果二进制文件位于内存中，则对文件的修改会更改支持该文件的内存页面，从而使它们的代码签名无效。我已经写了一份关于此问题的错误报告：rdar://problem/13514523。如果您还没有提交的话，我鼓励您自己提交。

一种可能的解决方法可能是让您的应用程序要求辅助工具在SMJobBless升级之前将其自身从磁盘中删除。这应该会导致SMJobBless复制到磁盘上的新文件，从而绕过该问题。